用于提供对网络设备的硬件组件接口的受限访问的方法技术

一种用于通过所述网络设备（1）的一个或多个软件组件（SWC）来提供对网络设备（1）的硬件组件接口（HWCI）的受限访问的方法，其中在强制访问控制MAC安全策略（MAC‑SP）的基础上，通过被实现为网络设备（1）的操作系统（OS）的一部分的MAC机制来准许由软件组件（SWC）请求的对硬件组件接口（HWCI）的访问，所述MAC安全策略（MAC‑SP）包括访问权限，所述访问权限被定义为分配给软件组件类型的软件组件安全标签（SWC‑SL）和分配给硬件组件接口类型的硬件组件接口安全标签（HWCI‑SL）之间的访问关系。

A method for providing limited access to the hardware component interface of a network device

【技术实现步骤摘要】
【国外来华专利技术】用于提供对网络设备的硬件组件接口的受限访问的方法
本专利技术涉及一种用于通过相应网络设备的一个或多个软件组件来提供对网络设备的硬件组件接口的受限访问的方法和装置。
技术介绍
在许多用例中，要求的是，数据通信不以不允许的方式被影响。例如，在工业控制网络中，控制设备之间的数据通信可能不会被损坏。在这样的工业控制网络中，仅使用允许的设备。不允许将可能用于诊断目的或用于抢先维护的外部系统直接与这样的控制网络连接。在常规的系统中，实现了所谓的数据二极管或单向网关来从控制网络传输数据，以使得提供了非反应性单向数据流。然而，如果存在位于单独的控制网络内或连接到这样的单向网关的设备的故障或操纵，则使用常规的数据二极管实体不提供保护。公开了一种采用基于流的网络访问控制系统的形式的基于流的网络访问控制，所述系统包括在计算机上操作并且具有网络端点属性的软件进程。软件进程被配置为通过基于流的网络协议栈将分组传送到包括接口属性的网络接口卡。会话过滤器模块和网络过滤器模块与网络协议栈通信。与会话过滤器模块和网络过滤器模块相关联的网络属性表将网络端点属性与网络属性表中的接口属性进行比较，以确定软件进程是否可以访问网络接口卡。在“配置SELinux策略”（“ConfiguringtheSELinuxPolicy”）中公开了“传统TE模型”，其将称为域的安全属性结合到每个进程，并且将称为类型的安全属性结合到每个对象。访问矩阵对指定域可以如何访问类型，以及域可以如何与其它域交互。每个用户被授权在某些域中操作。TE模型支持对程序执行和域转变的强控制。程序像任何其它对象一样被分配类型，并且TE访问矩阵指定可以由每个域执行什么类型。另外，在D2中公开了网络对象上下文配置准许规范用于端口、网络接口和节点（主机）的安全上下文。这里，网络接口具有两个相关联的安全上下文：接口的上下文和分配给接口上接收的未标记分组的默认上下文（参见D2的“4.6.4.网络对象上下文”）。
技术实现思路
因此，存在需要以提供一种增加在安全关键控制网络的操作中使用的组件的安全性和可靠性的方法和装置。根据本专利技术的第一方面，该目的通过包括权利要求1的特征的方法来实现。根据第一方面，本专利技术提供了一种用于通过网络设备的一个或多个软件组件来提供对所述网络设备的硬件组件接口的受限访问的方法，其中在MAC安全策略的基础上，通过被实现为网络设备的操作系统的一部分的强制访问控制机制来准许由软件组件请求的对硬件组件接口的访问，所述MAC安全策略包括访问权限，所述访问权限被定义为分配给软件组件类型的软件组件安全标签和分配给硬件组件接口类型的硬件组件接口安全标签之间的访问关系。在根据本专利技术的第一方面的方法的可能实施例中，由所述MAC机制准许的请求软件组件对所请求的硬件组件接口的受限访问提供了非反应性单向数据流。在根据本专利技术的第一方面的方法的可能实施例中，访问关系指示由根据MAC安全策略的访问权限所准许的软件组件对硬件组件接口的访问的访问类型。在根据本专利技术的第一方面的方法的又进一步可能实施例中，所述访问关系的访问类型包括只读RO访问类型，只写WO访问类型，读和写RW访问类型，客户端模式访问类型，以及服务器模式访问类型。在根据本专利技术的第一方面的方法的进一步可能实施例中，所述软件组件包括应用，所述应用包括控制应用、实时控制应用、安全应用、设备状态应用、配置应用以及数据验证应用。在根据本专利技术的第一方面的方法的进一步可能实施例中，所述硬件组件接口包括IO接口、网络接口、存储器接口以及配置接口。在根据本专利技术的第一方面的方法的又进一步可能实施例中，所述硬件组件接口类型包括配置类型、设备实习类型、控制网络类型以及开放网络类型。在根据本专利技术的第一方面的方法的进一步可能实施例中，所述软件组件类型包括控制网络域、开放网络域、域实习域、控制域、外部通信域以及设备实习跨域。在根据本专利技术的第一方面的方法的又进一步可能实施例中，所述MAC安全策略存储在所述网络设备的文件系统中在网络设备的操作系统的引导期间被加载。在根据本专利技术的第一方面的方法的进一步可能替代的实施例中，所述MAC安全策略被编译到设备的操作系统的操作系统内核中。在根据本专利技术的第一方面的方法的又进一步可能实施例中，所述操作系统包括非实时操作系统。在根据本专利技术的第一方面的方法的又进一步可能替代的实施例中，所述操作系统包括实时操作系统。根据第二方面，本专利技术还提供了包括权利要求12的特征的网络设备。根据第二方面，本专利技术提供了一种对其硬件组件接口具有受限访问的网络设备，所述网络设备包括操作系统内核，其在所述网络设备的处理器中实现并且包括强制访问控制MAC机制，所述MAC机制适于基于MAC安全策略通过所述网络设备的一个或多个软件组件来控制对所述网络设备的硬件组件接口的访问，所述MAC安全策略包括访问权限，所述访问权限被定义为分配给软件组件类型的软件组件安全标签和分配给硬件组件接口类型的硬件组件接口安全标签之间的访问关系。在根据本专利技术的第一方面的网络设备的可能实施例中，所述网络设备的硬件组件接口包括IO接口、网络接口、存储器接口和/或配置接口。在根据本专利技术的第一方面的网络设备的进一步可能实施例中，所述网络设备的网络接口包括到内部控制网络的至少一个内部网络接口以及到外部网络的至少一个外部网络接口。在可能的实施例中，根据本专利技术的第一方面的网络设备是可编程逻辑控制器。在根据本专利技术的第一方面的网络设备的进一步可能实施例中，所述网络设备是IoT网关。在根据本专利技术的第二方面的网络设备的进一步可能实施例中，所述网络设备是由控制设备形成的。附图说明在下文中，参考附图更详细地描述了本专利技术的不同方面的不同实施例。图1示出了用于图示根据本专利技术的方法和装置的示意图。图2示出了用于实现根据本专利技术的方法和装置的可能示例性用例的框图。图3示出了用于图示根据本专利技术的方法和装置的进一步示意图。图4示出了用于图示由根据本专利技术的方法和装置使用的可能示例性MAC安全策略的进一步图。具体实施方式如从图1的示意图可以看出的，根据本专利技术的方面的网络设备1包括操作系统OS，其可以由网络设备1的处理单元2来操作。操作系统OS可以例如在网络设备1的CPU上实现。操作系统OS具有操作系统内核OSK，所述操作系统内核OSK在网络设备1的处理器中实现并且包括强制访问控制MAC机制，所述MAC机制适于基于如图1中所图示的MAC安全策略MAC-SP通过所述网络设备的一个或多个软件组件SWC来控制对所述网络设备1的硬件组件接口HWCI的访问。强制访问控制机制被实现为网络设备的操作系统OS的一部分。在可能的实施例中，操作系统OS是非实时操作系统。在可能的实施例中，操作系统OS是Linux操作系统、Windows操作系统、macOS操作系统或OpenB本文档来自技高网...

【技术保护点】
1.一种用于通过网络设备（1）的一个或多个软件组件（SWC）来提供对所述网络设备（1）的硬件组件接口（HWCI）的受限访问的方法，其中在强制访问控制MAC安全策略（MAC-SP）的基础上，通过被实现为网络设备（1）的操作系统（OS）的一部分的MAC机制来准许由软件组件（SWC）请求的对硬件组件接口（HWCI）的访问，/n其特征在于/n所述MAC安全策略（MAC-SP）包括访问权限，所述访问权限被定义为分配给软件组件类型的软件组件安全标签（SWC-SL）和分配给硬件组件接口类型的硬件组件接口安全标签（HWCI-SL）之间的访问关系。/n

【技术特征摘要】
【国外来华专利技术】20171108 EP 17200614.01.一种用于通过网络设备（1）的一个或多个软件组件（SWC）来提供对所述网络设备（1）的硬件组件接口（HWCI）的受限访问的方法，其中在强制访问控制MAC安全策略（MAC-SP）的基础上，通过被实现为网络设备（1）的操作系统（OS）的一部分的MAC机制来准许由软件组件（SWC）请求的对硬件组件接口（HWCI）的访问，
其特征在于
所述MAC安全策略（MAC-SP）包括访问权限，所述访问权限被定义为分配给软件组件类型的软件组件安全标签（SWC-SL）和分配给硬件组件接口类型的硬件组件接口安全标签（HWCI-SL）之间的访问关系。


2.根据权利要求1所述的方法，其中由所述MAC机制准许的请求软件组件（SWC）对所请求的硬件组件接口（HWCI）的受限访问提供了非反应性单向数据流。


3.根据权利要求1或2所述的方法，其中所述访问关系指示由根据MAC安全策略（MAC-SP）的访问权限所准许的软件组件（SWC）对硬件组件接口（HWCI）的访问的访问类型。


4.根据权利要求3所述的方法，其中所述访问关系的访问类型包括
只读RO访问类型，
只写WO访问类型，
读和写RW访问类型，
客户端模式访问类型，以及
服务器模式访问类型。


5.根据前述权利要求1到4中任一项所述的方法，其中所述软件组件（SWC）包括应用，所述应用包括
控制应用，
实时控制应用，
安全性应用，
设备状态应用，
配置应用以及
数据验证应用。


6.根据前述权利要求1到5中任一项所述的方法，其中所述硬件组件接口（HWCI）包括
IO接口，
网络接口，
存储器接口以及
配置接口。


7.根据前述权利要求1到6中任一项所述的方法，其中所述硬件组件接口（HWCI）类型包括
配置类型，
设备实习类型，
控制网络类型，
实时控制类型，
安全性控制类型，以及
开放网络类型。


...

【专利技术属性】
技术研发人员：R法尔克，CP法伊斯特，J茨万兹格，
申请(专利权)人：西门子股份公司，
类型：发明
国别省市：德国;DE